FORK.md: правило — main двигается только с подписанным релизом

FORK.md

@@ -124,7 +124,19 @@ Hysteria2 (UDP 443) работают как работали; исходящий
 если автор изменил нужную строку — инструмент останавливается и говорит об этом, а не делает
 полу-патч.
 
-## Ветки и релизы
+## Ветки
+
+**`main` двигается только вместе с подписанным релизом.** Серверы читают версию из `main` (`KIT_RAW`),
+поэтому в `main` не должно попадать то, что ещё не подписано: иначе `kit update` и однострочник
+установки упираются в отсутствующий тег или в неподписанные суммы. Порядок такой:
+
+1. поднять версию и собрать изменения в `dev`;
+2. пользователь подписывает (`tools/release.sh`);
+3. коммит с `SHA256SUMS` и `SHA256SUMS.sig` → тег `v<версия>` → и только теперь `dev` вливается в `main`.
+
+Проверка перед публикацией в `main`: `curl -fsSL .../raw/tag/v<версия>/VERSION` должен отдавать ту же
+версию, а `bash <(curl ... raw/branch/main/scripts/3x-ui-local.sh) --verify-only` — писать, что подпись сошлась.
+ и релизы
 
 - `upstream` — точная копия ветки автора (`main`), только вперёд.
 - `dev` — наша сборка: `upstream` + швы + наши файлы; из неё делаются релизы.